{"product_id":"cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","title":"CRA Open Source Steward 2027 – politique de cybersécurité, procédures de gestion des vulnérabilités et attestation d’autorité | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" style=\"color:#183A55;line-height:1.7\"\u003e\n\u003cp\u003e\u003cstrong\u003eVotre fondation, association ou organisation contribue-t-elle au développement et à la gestion à long terme de projets open source utilisés à des fins commerciales ?\u003c\/strong\u003e Dans ce cas, elle peut avoir le rôle d’\u003cstrong\u003eopen-source software steward\u003c\/strong\u003e conformément à \u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003ela Cyber Resilience Act de l’UE – règlement (UE) 2024\/2847\u003c\/a\u003e. L’article 24 exige notamment une \u003cstrong\u003epolitique de cybersécurité vérifiable et documentée\u003c\/strong\u003e qui favorise un développement sécurisé, une documentation appropriée et la correction des vulnérabilités, ainsi qu’un signalement volontaire et un partage coordonné d’informations avec la communauté open source.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eDifférence importante par rapport aux modèles CRA classiques :\u003c\/strong\u003e Un steward est une \u003cstrong\u003epersonne morale autre que le fabricant\u003c\/strong\u003e qui soutient de manière systématique et durable le développement de certains produits open source destinés à des activités commerciales et joue un rôle essentiel à leur pérennité. Le fait d’être mainteneur, de contribuer au code pendant son temps libre ou de diriger une association ne suffit pas à déterminer automatiquement que l’organisation est concernée. Une organisation peut être \u003cstrong\u003esteward d’un projet et fabricant d’un autre\u003c\/strong\u003e. Ce rôle doit être vérifié pour chaque produit ou version.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eDates :\u003c\/strong\u003e Les obligations de déclaration des fabricants au titre de l’article 14 sont entrées en vigueur le \u003cstrong\u003e11 septembre 2026\u003c\/strong\u003e. Les obligations particulières de déclaration des stewards au titre de \u003cstrong\u003el’article 24.3 débuteront le 11 décembre 2027\u003c\/strong\u003e. L’ENISA a confirmé cette distinction. Ce pack est donc spécialement conçu pour une préparation adéquate – et non pour prétendre que tous les stewards doivent signaler des incidents dès 2026.\u003c\/p\u003e\n\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e01 · Contenu du pack\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eCinq modèles opérationnels en suédois avec leurs propres tâches et références probantes, un guide d’utilisation en suédois et un guide d’utilisation séparé en anglais. Les sept sont disponibles sous forme de documents Word (DOCX) modifiables et de PDF consultables. S’y ajoute un registre Excel en suédois comprenant neuf onglets. \u003cstrong\u003eAu total : 7 DOCX + 7 PDF + 1 XLSX = 15 fichiers clients\u003c\/strong\u003e dans un fichier ZIP sans macros.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e02 · Contenu des fichiers\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eÉvaluation du rôle (steward ou fabricant), adoption d’une politique de sécurité vérifiable, réception des vulnérabilités et procédures de correction, délimitation précise de l’article 24.3, réponse à une demande motivée d’une autorité et chaîne d’éléments probants et d’actions traçables. \u003cstrong\u003eLe fichier Excel comptabilise les éléments administratifs – pas les certificats CE, les approbations SBOM ou les déclarations automatiques aux autorités.\u003c\/strong\u003e\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003eQuelles activités peuvent réellement tirer profit du produit ?\u003c\/h2\u003e\n\n\u003cp\u003eLe public cible comprend les \u003cstrong\u003efondations open source, les associations professionnelles, les personnes morales à but non lucratif ou commerciales\u003c\/strong\u003e qui gèrent des infrastructures de dépôts ou de développement, fournissent une assistance organisationnelle ou technique à long terme et assurent la pérennité d’un produit FOSS pertinent. Par exemple, une fondation qui gère plusieurs bibliothèques et maintient un processus documenté de sécurité et de divulgation.\u003c\/p\u003e\n\n\u003cp\u003e**Ce produit se distingue de nos modèles existants :** \u003ca href=\"\/fr\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003eCRA Compliance pour les fabricants, évaluation des risques et SBOM\u003c\/a\u003e se concentre sur les obligations générales des produits, tandis que \u003ca href=\"\/fr\/products\/cra-psirt-sarbarhetsrapportering-artikel14\"\u003eCRA PSIRT – 24\/72h et signalement des vulnérabilités\u003c\/a\u003e soutient la gestion effective des incidents par le fabricant. Ce produit est spécialement destiné à \u003cstrong\u003ela politique de l’article 24 du steward, à son rôle de gouvernance et à ses obligations limitées de déclaration et de réponse aux autorités\u003c\/strong\u003e.\u003c\/p\u003e\n\n\u003ch2\u003eQuelles exigences l’article 24.1 impose-t-il à un steward de logiciel open source ?\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eL’article 24.1\u003c\/a\u003e exige une \u003cstrong\u003epolitique de cybersécurité documentée et vérifiable\u003c\/strong\u003e qui favorise un développement sécurisé et permet aux développeurs de gérer efficacement les vulnérabilités. La politique doit notamment couvrir la détection, la documentation, l’évaluation, la gestion et la correction, tout en favorisant le signalement volontaire conformément à l’article 15 et l’échange d’informations au sein de la communauté open source. Elle doit être adaptée à la structure juridique et organisationnelle réelle de l’organisation. Il ne suffit pas d’écrire « nous respectons le CRA » – il faut indiquer les responsabilités, un contact de sécurité fiable, le processus, le numéro de version et des éléments probants réels.\u003c\/p\u003e\n\n\u003ch2\u003eQue prévoit la loi en cas de demande d’une autorité ?\u003c\/h2\u003e\n\n\u003cp\u003eConformément à l’article 24.2, un steward doit coopérer avec les autorités de contrôle du marché afin de réduire les risques pour la sécurité. En cas de \u003cstrong\u003edemande motivée\u003c\/strong\u003e, le steward doit être en mesure de fournir la politique documentée mentionnée au point 1, sur papier ou par voie électronique, dans une langue facilement compréhensible par l’autorité. Le pack contient les éléments nécessaires pour vérifier l’identité de l’expéditeur, rassembler les documents appropriés, protéger les données sensibles et conserver une véritable preuve de réponse.\u003c\/p\u003e\n\n\u003ch2\u003eDéclaration au titre de l’article 24.3 – deux situations distinctes\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eVulnérabilité activement exploitée :\u003c\/strong\u003e La référence à l’article 14.1 s’applique à un steward dans la mesure où l’organisation participe effectivement au développement du produit numérique concerné. \u003cstrong\u003eIncident grave :\u003c\/strong\u003e Les références aux articles 14.3 et 14.8 s’appliquent uniquement lorsque l’incident affecte les réseaux et les systèmes d’information que le steward fournit lui-même pour le développement des produits. Par conséquent, tous les bugs éventuels, les attaques contre un tiers ou les perturbations informatiques internes ne donnent pas automatiquement lieu à une obligation de déclaration au titre de l’article 24.3.\u003c\/p\u003e\n\n\u003cp\u003eLe responsable doit documenter la date de prise de connaissance, le rôle exact, l’événement, l’évaluation juridique et le canal de déclaration effectif. \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eLa Single Reporting Platform (SRP) de l’ENISA\u003c\/a\u003e constitue le point d’entrée officiel pour les déclarations applicables. Les modèles ne peuvent envoyer aucun message au nom du client et ne génèrent pas de véritables reçus SRP. Prévoyez les délais applicables et vérifiez l’interprétation juridique en vigueur auprès de l’ENISA avant d’effectuer la déclaration.\u003c\/p\u003e\n\n\u003ch2\u003eQuelles exigences ne s’appliquent pas automatiquement à un steward ?\u003c\/h2\u003e\n\n\u003cp\u003eLa catégorie des stewards constitue un cadre réglementaire distinct et proportionné. L’organisation \u003cstrong\u003ene doit pas, au seul motif qu’elle est steward\u003c\/strong\u003e, délivrer la déclaration de conformité CE du fabricant, créer un SBOM de fabricant ou se soumettre à toutes les obligations techniques relatives aux produits prévues à l’annexe I du CRA. \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eLes lignes directrices de la Commission européenne\u003c\/a\u003e distinguent clairement les obligations du steward de celles du fabricant. Toutefois, l’exercice d’une fonction distincte de fabricant dans un autre projet modifie la situation.\u003c\/p\u003e\n\n\u003ch2\u003eListe complète des fichiers\u003c\/h2\u003e\n\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:640px;border-collapse:collapse\"\u003e\n\n\u003cthead\u003e\u003ctr style=\"background:#DDEEF5\"\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eFichier\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eObjectif\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eFormat\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e01. Évaluation du rôle – steward\/fabricant\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDocumenter la personne morale, le soutien effectif au projet FOSS, le positionnement sur le marché, la version et la décision relative au rôle.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e02. Politique de cybersécurité vérifiable\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eArt. 24.1 : développement sécurisé, contact de sécurité, responsabilités, correction, signalement volontaire et partage avec la communauté.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e03. Réception des vulnérabilités et divulgation coordonnée\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eRéception, identifiant de l’affaire, tri, canal de communication sécurisé, correction\/version et preuve de correction.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e04. Art. 24.3 – évaluation de l’obligation de déclaration\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDistinguer les exploitations actives où le steward participe au développement des incidents graves survenant dans son infrastructure de développement.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e05. Demande d’une autorité et éléments probants\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eAuthenticité de la demande, politique vérifiable, éléments probants réels et réponse documentée à l’autorité.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e06. Guide d’utilisation en suédois\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eSept étapes pratiques avec dates et limites juridiques.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e07. English User Guide\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eGuide d’utilisation en anglais des formulaires de travail suédois ; ne comprend pas une traduction intégrale des cinq formulaires de travail en anglais.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e08. Registre Excel\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eNeuf onglets et huit indicateurs administratifs basés sur des formules.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eXLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\n\u003ch2\u003eFichier Excel avec neuf onglets et huit indicateurs administratifs testés\u003c\/h2\u003e\n\n\u003cp\u003eLes onglets s’intitulent \u003cstrong\u003eAperçu, Projet et rôles, Politiques, Vulnérabilités, Incidents, Déclarations, Affaires avec les autorités, Actions et Sources et guide\u003c\/strong\u003e. L’aperçu comptabilise les projets enregistrés, les évaluations de rôle non claires, les politiques manquantes, les vulnérabilités ouvertes, les incidents nécessitant une enquête, les déclarations non claires, les affaires avec les autorités sans réponse et les actions en attente.\u003c\/p\u003e\n\n\u003cp\u003eLes huit valeurs sont toutes \u003cstrong\u003eà 0 dans le fichier original\u003c\/strong\u003e. Des éléments de test synthétiques séparés ont donné la valeur attendue \u003cstrong\u003e1\u003c\/strong\u003e pour les huit indicateurs. Les tâches de test ne figurent pas dans la version client. Aucune classification juridique, vérification externe, déclaration ou approbation par une autorité n’est effectuée automatiquement.\u003c\/p\u003e\n\n\u003ch2\u003eComment utiliser les documents\u003c\/h2\u003e\n\n\u003col\u003e\n\n\u003cli\u003eRecensez chaque projet FOSS, éditeur, organisation de soutien, contexte de licence et d’activité commerciale.\u003c\/li\u003e\n\n\u003cli\u003eDéterminez si chaque relation effective correspond à un \u003cstrong\u003esteward, un fabricant ou n’est pas concernée\u003c\/strong\u003e. Conservez les fondements et la source.\u003c\/li\u003e\n\n\u003cli\u003eAdaptez, adoptez et versionnez la politique de cybersécurité avec un canal de sécurité concret et des preuves de code ou de version.\u003c\/li\u003e\n\n\u003cli\u003eMettez en place une réception privée des vulnérabilités, un tri, des corrections, des tests de non-régression et une divulgation sécurisée auprès de la communauté.\u003c\/li\u003e\n\n\u003cli\u003ePréparez l’évaluation de la déclaration pour le \u003cstrong\u003e11 décembre 2027\u003c\/strong\u003e. Distinguez les exploitations actives des incidents graves survenant dans l’infrastructure de développement du steward.\u003c\/li\u003e\n\n\u003cli\u003eÉtablissez un processus pour les demandes motivées des autorités et rassemblez des éléments probants vérifiables et protégés par les règles de protection des données.\u003c\/li\u003e\n\n\u003cli\u003eMettez à jour le fichier Excel, suivez les actions et laissez la personne appropriée donner manuellement son approbation pour chaque affaire.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\n\u003ch2\u003eQuestions fréquentes sur le CRA et les stewards open source\u003c\/h2\u003e\n\n\u003ch3\u003eUne association à but non lucratif est-elle automatiquement exemptée du CRA ?\u003c\/h3\u003e\n\n\u003cp\u003eNon. Le rôle juridique et l’activité déterminent l’application. Une personne morale qui soutient systématiquement des projets OSS pertinents peut être un steward même sans but lucratif propre, mais une évaluation individuelle par projet est nécessaire.\u003c\/p\u003e\n\n\u003ch3\u003eLes mêmes exigences CE s’appliquent-elles aux stewards et aux fabricants de produits ?\u003c\/h3\u003e\n\n\u003cp\u003eNon. L’article 24 comprend des obligations distinctes. Un steward n’est pas automatiquement tenu de satisfaire à toutes les exigences CE, SBOM et relatives aux produits du fabricant. Si l’organisation est également fabricant d’un autre produit, d’autres exigences peuvent s’appliquer à ce dernier.\u003c\/p\u003e\n\n\u003ch3\u003eQuand commence l’obligation du steward de déclarer à l’ENISA ?\u003c\/h3\u003e\n\n\u003cp\u003eL’article 24.3 commencera à s’appliquer le \u003cstrong\u003e11 décembre 2027\u003c\/strong\u003e. Les obligations des fabricants au titre de l’article 14 sont entrées en vigueur dès le \u003cstrong\u003e11 septembre 2026\u003c\/strong\u003e. Il ne faut pas confondre ces deux groupes de dates.\u003c\/p\u003e\n\n\u003ch3\u003eToutes les failles de sécurité doivent-elles être transmises à l’ENISA ?\u003c\/h3\u003e\n\n\u003cp\u003eNon. Une évaluation juridique est nécessaire, notamment pour déterminer s’il existe une exploitation effective, une participation du steward ou un incident grave particulier survenant dans l’infrastructure de développement du steward.\u003c\/p\u003e\n\n\u003ch3\u003eUne politique de sécurité générique suffit-elle ?\u003c\/h3\u003e\n\n\u003cp\u003eNon, si elle ne documente pas les processus réels de sécurité et de gestion des vulnérabilités exigés par l’article 24.1, et si elle ne peut être attestée par des responsabilités, des versions et des preuves de travail réels. Le modèle doit être adapté à l’organisation.\u003c\/p\u003e\n\n\u003ch3\u003eLe pack génère-t-il une déclaration effective à l’ENISA ?\u003c\/h3\u003e\n\n\u003cp\u003eNon. Le document 04 permet de préparer en interne la conformité juridique et technique. La déclaration effective doit être effectuée par une personne habilitée dans le canal officiel approprié, et seules de véritables preuves de réception doivent être saisies.\u003c\/p\u003e\n\n\u003ch3\u003eQue se passe-t-il si l’autorité exige notre politique ?\u003c\/h3\u003e\n\n\u003cp\u003eVérifiez l’identité de l’autorité et la demande juridique formulée. Utilisez le document 05 pour rassembler la politique adoptée, la chaîne de preuves effective, la décision de réponse et la preuve de réception conformément à l’article 24.2.\u003c\/p\u003e\n\n\u003ch3\u003eLes cinq modèles de travail sont-ils tous disponibles en anglais ?\u003c\/h3\u003e\n\n\u003cp\u003eNon. Les cinq modèles de travail et le fichier Excel sont en suédois. Un guide d’utilisation en suédois et un \u003cstrong\u003eEnglish User Guide\u003c\/strong\u003e séparé sont inclus, mais pas une traduction intégrale de tous les documents de travail.\u003c\/p\u003e\n\n\u003ch2\u003eSources juridiques, transparence et contrôle juridique\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eRèglement (UE) 2024\/2847 – texte original, articles 3.14\/24\/71\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eCommission européenne : CRA et open source\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\"\u003eCommission européenne : déclarations au titre du CRA\u003c\/a\u003e · \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA SRP – dates et déclaration\u003c\/a\u003e · \u003ca href=\"https:\/\/policy.openssf.org\/CRA\/stewards-playbook.html\"\u003eLinux Foundation\/OpenSSF – travail pratique du steward (non contraignant)\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eVersion 1.0, vérification juridique des sources assistée par l’IA le 11 novembre 2026.\u003c\/strong\u003e Aucune révision juridique externe, classification effective d’une organisation, test d’intrusion, audit de cybersécurité, certificat CE ou déclaration effective auprès d’une autorité n’a été effectuée. Consultez les sources à l’occasion de futures lignes directrices et modifications juridiques. Livraison au format ZIP uniquement après publication éventuelle de la version préliminaire et liaison séparée des fichiers Shopify Digital Products.\u003c\/p\u003e\n\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56581000626518,"sku":"CRA-OSS-STEWARD-2027-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/01_CRA_OSS_Steward_Huvudbild_1600.png?v=1794396447","url":"https:\/\/mallbutiken.se\/fr\/products\/cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","provider":"Mallbutiken","version":"1.0","type":"link"}